连接 Azure Database for MySQL 适用于 Excel、Google Sheets、AI 和 REST

TLS 在此处遵循复选框，而不是主机名。

这是唯一一个直接复制 Azure PostgreSQL 页面是错误的地方，所以有必要明确说明。

• 默认情况下启用 SSL，启用后连接将被加密。 — 代理向 MySQL 请求所需的 TLS 会话。
• 关闭此功能后，代理将尝试建立未加密的连接。MySQL 路径中的任何设置都不会根据主机名进行更改，这正是此卡与 Azure PostgreSQL 的区别所在。
• 原因在于结构性问题而非疏忽：代理维护着一个托管的 Postgres 主机名表，并强制对这些主机名使用 TLS，而 MySQL 没有对应的机制。这个复选框就是全部机制。
• 加密并非证书验证。代理程序要求使用 TLS，但不会验证服务器的证书链，因此请将其视为防止网络窃听的保护措施，而不是证明您访问了什么内容的凭证。

灵活的服务器，以及用户名陷阱

Azure 提供了两种不同版本的 MySQL，但它们对用户名格式的定义却不尽相同。这张卡片表明了其中一种立场。

• 此卡专为灵活服务器而设计。默认端口为 3306，服务器名称以 .mysql.database.azure.com 结尾。
• 灵活服务器使用纯文本用户名。已停用的单服务器方案使用 user@servername 格式，如果您粘贴此类用户名，系统提示您删除后缀，而不是让 Azure 稍后将其作为身份验证失败而拒绝。
• 那才是更容易发现问题的地方。@servername 登录在远端会失败，并显示通用的身份验证错误，导致用户重置原本正确的密码。
• 密码开头或结尾带有空格也会被标记出来。这是剪贴板操作导致的，也会像普通身份验证错误一样失败。

私有端点非常适合代理。

因为代理程序会拨号出去但从不监听，所以暴露数据库服务器的通常原因并不适用。

• 将代理程序部署在同一虚拟网络内的虚拟机上，并将其指向私有端点。公共访问可以保持关闭状态。
• 无需添加入站防火墙规则，无需维护 IP 地址白名单，您的网络和我们的网络之间也无需 VPN。代理程序会自动打开对外连接。
• 身份验证需要用户名和密码。Microsoft Entra ID 未集成到此连接器中，因此请使用作用域限定的 MySQL 登录来读取您打算公开的内容。
• 只读用户值得花两分钟时间。查询流不会写入数据，但确保这一点的最安全方法是在数据库层面进行操作。

-- 普通 MySQL，只读，通过 TLS SELECT c.name, COUNT(o.id) AS orders, SUM(o.amount) AS revenue FROM customers AS c JOIN orders AS o ON o.customer_id = c.id WHERE o.placed_at >= NOW() - INTERVAL 30 DAY GROUP BY c.name ORDER BY revenue DESC;